<mark id="oztn4"></mark>
1
| 本文作者： 郭佳 | 2017-12-05 20:40 |
雷鋒網(wǎng)編輯按：作為卡巴斯基實驗室的網(wǎng)絡(luò)安全分析團隊，“GReAT”每年都會根據(jù)對全球的網(wǎng)絡(luò)攻擊狀況進行研究，發(fā)表針對下一年的威脅預(yù)測。近日，他們發(fā)布了對 2018 年的威脅預(yù)測，雷鋒網(wǎng)選取了部分內(nèi)容進行編譯整理。
想看原版的讀者請移步文末點擊參考來源。
如果從防守方來看，企業(yè)或者個人為了保護自己的網(wǎng)絡(luò)安全，往往使用了強大的網(wǎng)絡(luò)安全防護體系，用于抵御黑客的 APT （高級持續(xù)性威脅）攻擊。
要知道，對付這些手握豐富武器庫（零日漏洞、無文本攻擊工具等）的黑客，并不是一件容易的事情。
卡巴斯基發(fā)現(xiàn)，在一些 APT攻擊中，由于攻擊目標(biāo)使用了強大的網(wǎng)絡(luò)安全防護體系，并對員工進行了良好的安全教育，使得黑客的攻擊屢屢失敗。
但是，這些黑客并未輕易放棄，一直在尋找方法繼續(xù)入侵。他們重新評估形勢后發(fā)現(xiàn)，“供應(yīng)鏈攻擊”比直接進攻更有效。
什么是供應(yīng)鏈攻擊？
簡單來說，就是披著合法軟件外衣的攻擊行為，如影響百萬電腦的暗云Ⅲ惡意軟件，隱藏在正規(guī)刷機軟件中的異鬼II，以及被爆盜用國內(nèi)某終端管理軟件數(shù)字簽名的 Kuzzle 惡意軟件……很多我們充分信任的軟件都淪陷過，因為第三方軟件可能是一個更容易的目標(biāo)，他們可以利用它來攻擊受到更好保護的原始目標(biāo)企業(yè)。
在2017年，有這樣一些案例：
Shadowpad
CCleaner
ExPetr / NotPetya
這些攻擊很難識別。例如，在 Shadowpad 的案例中，攻擊者成功地利用Netsarang軟件攜帶惡意軟件程序包，在世界各地傳播，尤其是銀行、大型企業(yè)和其他垂直行業(yè)。
在很多情況下，它們都是命令和控制（C&C）流量，畢竟用戶很難察覺到干凈的程序包和攜帶惡意代碼的程序包的差異。
在CCleaner案例中，估計有超過200萬臺電腦被感染，這使它成為2017年最大的供應(yīng)鏈攻擊之一。
研究人員分析了惡意的CCleaner代碼后，將它與其他一些已知的后門程序聯(lián)系起來，這些后門程序被APT組織“Axiom umbrella”（APT17，也叫Aurora）使用過。這證明了APT組織愿意為了實現(xiàn)其目標(biāo)拉長戰(zhàn)線。
“GReAT”認(rèn)為，目前的“供應(yīng)鏈攻擊”數(shù)量可能比我們了解到的要高得多，只是這些還沒有被暴露出來。
2016 年 8 月，CitizenLab 和 Lookout 公司公布了一份名為“Pegasus”的移動間諜平臺的分析報告。
Pegasus 是一款所謂的“合法攔截”軟件套件，被一家名為“NSO Group”的以色列公司出售給政府和其他實體企業(yè)。
Pegasus 能結(jié)合多個零日漏洞，遠(yuǎn)程繞過 iOS 等系統(tǒng)的安全防御。它被認(rèn)為是目前為止最危險的間諜軟件之一，可以通過短信息進行控制，并具有自毀功能。此外，它還能抓取大量通信數(shù)據(jù)、WhatsApp 通話和消息記錄、以及來自 Gmail、Facebook、Skype 和 Twitter 等有價值的數(shù)據(jù)。除此之外，它還能控制設(shè)備的攝像頭和麥克風(fēng)，并記錄鍵盤，捕獲截圖。
總之，如果你的手機被這款惡意軟件所控制，絕對可以上演一部現(xiàn)實版《楚門的世界》。
除Pegasus 外，許多其他APT組織也開發(fā)了專屬的移動惡意軟件。由于iOS是一個特殊的操作系統(tǒng)，用戶很難檢查他們的手機是否被感染。
總之，由于遙測技術(shù)的缺陷，一些移動惡意軟件難以被發(fā)現(xiàn)和根除，現(xiàn)還未被發(fā)現(xiàn)的移動惡意軟件的總數(shù)，可能比已經(jīng)公布的要多。
隨著網(wǎng)絡(luò)安全意識的不斷提高，各大互聯(lián)網(wǎng)公司都擁有了強大的安全團隊，這致使零日漏洞的發(fā)現(xiàn)越來越難，價格也在近兩年水漲船高。
例如，世界著名漏洞軍火商 Zerodium 最近表示愿意出價150萬美元購買一套完整的 iPhone（iOS）持續(xù)性攻擊的遠(yuǎn)程越獄漏洞，即在沒有任何用戶交互的情況下，遠(yuǎn)程感染目標(biāo)設(shè)備。現(xiàn)在，你估計會對黑客陳良有不一樣的認(rèn)識了吧，黑客陳良首次揭秘如何越獄 iPhone X ：喬布斯的蘋果終有缺口。
這也意味著，攻擊者在攻擊前需要經(jīng)歷一個更縝密的分析過程。
例如，偵察階段可以強調(diào)識別目標(biāo)、操作系統(tǒng)、插件和其他第三方軟件使用的瀏覽器的準(zhǔn)確版本。
憑借這些信息，攻擊者可以針對目標(biāo)特性調(diào)整他們的開發(fā)方式，交付一個不太敏感的將“1-day”或“N-day”的漏洞，而不是被譽為“皇冠上的寶石”的“0-day”漏洞。
類似于 Turla、Sofacy 和 Newsbeef 這樣的 APT 組織已把這類分析技術(shù)運用得相當(dāng)熟練，其他的APT組織也以其自定義的分析框架而聞名，比如多產(chǎn)的 Scanbox 。
由于分析框架的普遍性和零日漏洞的高昂代價，我們可以估計在2018年使用“BeEF”之類的分析工具包將會增加，更多的黑客團隊可能采用公共框架，或者自己開發(fā)工具包。
UEFI (統(tǒng)一可擴展固件接口)是一種軟件接口，是現(xiàn)代pc機與操作系統(tǒng)之間的媒介。由英特爾在2005年開發(fā)，正在迅速取代傳統(tǒng)的BIOS標(biāo)準(zhǔn)。這是因為BIOS缺乏一些高級特性：例如，安裝并運行可執(zhí)行文件、網(wǎng)絡(luò)功能、加密、CPU獨立架構(gòu)和驅(qū)動程序等能力。
而UEFI可以彌補BIOS缺乏的這些能力，這使得UEFI成為一個有吸引力的平臺，攻擊者也在其中找到許多在BIOS平臺上并不存在的新漏洞。
例如，運行自定義可執(zhí)行模塊的能力使得它能夠創(chuàng)建惡意軟件，而由UEFI直接執(zhí)行就能繞過任何反惡意軟件解決方案。
從2015年開始，商業(yè)級的UEFI惡意軟件就已經(jīng)存在了。但是， 到目前為止仍然缺少針對這類惡意軟件的成熟的、可靠的檢測方法。
我們預(yù)計，在2018年，將會看到更多基于UEFI的惡意軟件。
從2016年11月開始，卡巴斯基實驗室觀察到一波針對中東地區(qū)多個目標(biāo)的“雨刷攻擊”。
在新的襲擊中使用的惡意軟件是臭名昭著的 Shamoon 蠕蟲病毒的變種，該蠕蟲在2012年襲擊了 Saudi Aramco 和 Rasga s公司，2012年，這種病毒出現(xiàn)時，它的攻擊目標(biāo)是能源企業(yè)或能源部門，它能將受感染 Windows機器中的數(shù)據(jù)永久刪除。
在襲擊當(dāng)天，一群被稱為“正義之劍”的組織發(fā)布了一份巴氏(Pastebin)信息，并對Saudi Aramco發(fā)動攻擊，并稱此次襲擊是針對沙特王室的一項舉措。
在2016年11月，又發(fā)生了Shamoon 2.0攻擊事件，此次目標(biāo)是沙特阿拉伯多個關(guān)鍵部門和經(jīng)濟部門。就像之前的變種一樣，Shamoon 2.0“雨刮器”的目標(biāo)是對組織內(nèi)部系統(tǒng)和 設(shè)備進行大規(guī)模破壞。
在調(diào)查Shamoon 2.0的攻擊時，卡巴斯基實驗室還發(fā)現(xiàn)了一個以前不為人知的惡意軟件，似乎針對的也是沙特阿拉伯地區(qū)的組織。
我們已經(jīng)把這種新“雨刷器”稱為“StoneDrill”，它很有可能與Newsbeef APT組織存在關(guān)聯(lián)。
除了Shamoon和Stonedrill,發(fā)生在2017年的極具破壞性的攻擊活動還有很多，如ExPetr/ NotPetya攻擊，最初被認(rèn)為是勒索軟件，結(jié)果被證明是一個巧妙偽裝的“雨刷器”。
緊隨其后的另一波“贖金”攻擊，使得受害者幾乎沒有機會恢復(fù)他們的數(shù)據(jù)，這都是因為這些勒索軟件都被 “雨刷器”巧妙地掩飾了。
關(guān)于“雨刷器即勒索軟件”（wipers as ransomware）這一事實，在2016年出現(xiàn)的由CloudAtlas APT組織發(fā)起的針對俄羅斯的金融機構(gòu)的攻擊活動中可以證實。
在2018年，我們預(yù)計破壞性攻擊活動將繼續(xù)上升，或許還會在網(wǎng)絡(luò)戰(zhàn)中占據(jù)極大地位。
在2017年3月，美國國家安全局開發(fā)的 IoT 加密方案提議遭到了 Simo n和 Speck 異體ISO認(rèn)證的質(zhì)疑，這兩項提案都被撤回并推遲了。
2016年8月，Juniper Networks宣布在他們的NetScreen防火墻中發(fā)現(xiàn)了兩個神秘的后門。可能是Dual_EC隨機數(shù)生成器所使用的常量發(fā)生了細(xì)微的變化，使得攻擊者能夠從NetScreen設(shè)備解密VPN流量。
最初的Dual_EC算法是由國家安全局設(shè)計的，并通過了NIST標(biāo)準(zhǔn)。
早在2013年，路透社(Reuters)的一份報告就顯示，美國國家安全局(NSA)向RSA支付了1000萬美元，把Dual_EC這個脆弱的算法集成到它的加密套件中
即使在2007年就從理論上確定了植入后門程序的可能性，一些公司(包括Juniper)仍采用了不同的常數(shù)集，繼續(xù)使用該算法，這在理論上是安全的。
但是這組不同的常量并不能改變什么，一些APT攻擊者仍會攻擊Juniper，他們會將這些常量更改為一個可以控制和利用的內(nèi)容來解密VPN流量。
這些嘗試并沒有被忽視。在2017年9月，一個國際密碼學(xué)專家小組迫使美國國家安全局放棄了兩種新的加密算法，該組織希望將其標(biāo)準(zhǔn)化。
2017年10月，新聞報道了英飛凌技術(shù)股份公司（Infineon Technologies）在他們使用的硬件芯片加密庫中的一個缺陷。雖然這一漏洞似乎是無意的，但它確實讓我們對“智能卡、無線網(wǎng)絡(luò)或加密Web流量等日常生活中使用的基礎(chǔ)加密技術(shù)的安全性”產(chǎn)生了質(zhì)疑。
在2018年，我們預(yù)測將會發(fā)現(xiàn)更加嚴(yán)重的加密漏洞，并希望無論是加密算法標(biāo)準(zhǔn)本身還是在具體的實踐中出現(xiàn)的漏洞都能被修補。
在過去的幾年里，發(fā)生了大規(guī)模的個人信息泄露事件，比如涉及半數(shù)美國人的Equifax 漏洞事件。
雖然許多人已經(jīng)對這些數(shù)據(jù)泄露事件麻木，但需要明白的是，規(guī)模化的個人信息信息泄露，可能會危及電子商務(wù)的基礎(chǔ)。
欺詐和身份盜用問題是一個長期存在的問題，但當(dāng)基本的身份識別信息泄露如此泛濫時，人們是否會認(rèn)為相關(guān)企業(yè)根本就不可靠呢？
這時，商業(yè)和政府機構(gòu) (特別是在美國) 將面臨一種選擇，即縮減采用互聯(lián)網(wǎng)運營的舒適度，或是采用其他多因素安全解決方案。換句話說，可能以后為了保證安全，用戶體驗可能沒那么便捷了。
也許像 ApplePay 這樣的有彈性的替代方案將會成為一種現(xiàn)實的方式來確保身份和交易，但同時，我們可能會看到，為了實現(xiàn)繁瑣的官僚程序的現(xiàn)代化和降低運營成本，互聯(lián)網(wǎng)的關(guān)鍵作用正在放緩。
另一個被廣泛忽視的領(lǐng)域是路由器和調(diào)制解調(diào)器。
其實，路由器已經(jīng)成為各類破解秀中的常客了，因為不論是家里還是單位，它都成為了一個必不可少的硬件，，然而這些硬件上面運行的專有軟件卻又常處于未打補丁或無人看管的狀態(tài)。
一些攻擊者正是利用這一點，獲取到網(wǎng)絡(luò)持久和隱蔽性訪問權(quán)。
究竟情況有多糟糕，雷鋒網(wǎng)此前進行過報道，全球 57 萬臺打印機端口暴露在物聯(lián)網(wǎng)，打印機廠商怎么看（內(nèi)附獨家回復(fù)）。
在某些情況下，攻擊者甚至可以模擬不同的互聯(lián)網(wǎng)用戶，將蹤跡轉(zhuǎn)移到完全不同的網(wǎng)絡(luò)連接地址中。
預(yù)計到2018年，攻擊者對誤導(dǎo)和虛假標(biāo)志的興趣正在不斷增加。對這些設(shè)備進行更嚴(yán)格的審查將會有更多的發(fā)現(xiàn)。
從特朗普身上，大家應(yīng)該都能感受到，社交媒體已經(jīng)逐漸擔(dān)任了重要的政治化角色，不少美國人甚至認(rèn)為，是facebook幫助特朗普贏得了美國大選。
卡巴斯基預(yù)計，社交媒體政治化將會呈現(xiàn)更明顯的濫用趨勢，大型僵尸網(wǎng)絡(luò)將成為更廣泛的政治毒瘤，看來，大家對僵尸粉的厭惡是部分國界的。
其實， 每一年的主題和趨勢都不是孤立，翻看前幾年的威脅預(yù)測可以看出，它們相互依賴，無論是個人、企業(yè)還是政府，所面臨的威脅都在不斷增長，能緩解這些威脅的，是高保真威脅情報，以及對于威脅情報的分享和應(yīng)用。
雖然這些預(yù)測涵蓋了高級目標(biāo)威脅的趨勢，但個別行業(yè)將面臨自己獨特的挑戰(zhàn)。2018年，我們將把目光更多的放在醫(yī)療、汽車、金融服務(wù)、工控安全等部門。
參考來源：securelist、Freebuf
雷峰網(wǎng)原創(chuàng)文章，未經(jīng)授權(quán)禁止轉(zhuǎn)載。詳情見轉(zhuǎn)載須知。
